La inseguridad de los stacks de telecomunicaciones después de Salt Typhoon

• Vulnerabilidad del stack de telecomunicaciones

  • Contexto: A finales del año pasado, ocurrió un incidente en el que un grupo llamado "Salt Typhoon" hackeó a T-Mobile y a otras empresas de telecomunicaciones. Este incidente llevó a revisar la seguridad del software open source relacionado con telecomunicaciones.

• Desbordamiento de búfer en la biblioteca XMLRPC de FreeSWITCH

  • Problema: En la biblioteca XMLRPC de FreeSWITCH, el manejador de solicitudes HTTP escribe un URI de longitud arbitraria en una variable de pila de 4096 bytes. Esto constituye una vulnerabilidad de desbordamiento de búfer, ya que un atacante puede enviar un URI de más de 4096 caracteres.

  • Solución: Se debe aplicar programación defensiva en C usando snprintf().

• Intento de divulgación de la vulnerabilidad por parte de Soatok

  • 2025-01-27: Se enviaron los detalles de la vulnerabilidad a la dirección de correo especificada en la política de seguridad de FreeSWITCH.

  • 2025-02-07: Se envió un correo de seguimiento para confirmar si habían recibido el reporte.

  • Respuesta: Andrey Volk respondió que la vulnerabilidad había sido corregida recientemente. Sin embargo, no se etiquetó una nueva versión con el parche de seguridad.

• Problemas ocurridos

  • Un empleado de SignalWire indicó que los usuarios que no compraran FreeSWITCH Advantage permanecerían vulnerables hasta el verano. Esto significa que miles de stacks de telecomunicaciones podrían seguir en estado vulnerable.

• Problema sistémico de la seguridad en telecomunicaciones

  • Causa del problema: Faltan incentivos económicos para invertir en la seguridad de los sistemas de telecomunicaciones. Esa es la razón por la que la seguridad en telecomunicaciones sigue siendo débil incluso hoy.

  • Posibilidades a futuro: Podría surgir un competidor de FreeSWITCH desarrollado en Rust, o una voluntad política para invertir en la seguridad de la infraestructura de telecomunicaciones de Estados Unidos.

• Reflexión final

  • Aunque este es un problema técnico en apariencia simple, detrás podría haber un problema mayor. La respuesta de SignalWire fue decepcionante, pero aun así respondieron dentro de 90 días y corrigieron el problema en GitHub. También se pueden considerar medidas como bloquear a nivel de firewall el acceso HTTP público al stack de FreeSWITCH.

[GN⁺]

Opinión de Hacker News

• El autor reconoce que no tiene experiencia en infraestructura a nivel de operadora, pero sus sospechas son esencialmente correctas

  • Tengo experiencia realizando pruebas e investigación de seguridad de 4G y 5G para varias operadoras importantes
  • Depende de la operadora y del proveedor del producto, pero la seguridad sigue siendo muy débil
  • Hasta hace poco, la seguridad dependía por completo de la oscuridad, y aunque los estándares 4G y 5G empezaron a corregir esto, todavía existen vulnerabilidades importantes
  • Es muy probable que un actor de amenaza de nivel intermedio pueda penetrar una operadora
  • Los proveedores de hardware de cierto país del Este de Asia tienen software tan mal escrito que la seguridad casi no existe
  • Los proveedores occidentales de hardware tienen software más maduro, pero aun así siguen rezagados frente a las prácticas modernas de seguridad

• En 2025 sigue sin entenderse por qué los estándares de telefonía móvil todavía usan claves precompartidas

  • Algoritmos como RSA y Diffie Hellman existen desde hace décadas
  • Las tarjetas SIM todavía se configuran con una clave precompartida que solo conocen la tarjeta y el operador, y toda la autenticación y el cifrado se basan en esa clave
  • Si hackean al operador y roban las claves, no hay forma de responder a eso
  • Como el fabricante de tarjetas SIM debe enviar las claves al operador, en ese proceso existe la posibilidad de hackeo o robo de claves
  • Si un fabricante de SIM o un proveedor de equipos de red central cooperara con la NSA y entregara las claves, existiría la posibilidad de interceptar el tráfico de telefonía móvil de todo el mundo

• La conclusión de la publicación del blog de que Freeswitch no se aparta del calendario de lanzamientos de la comunidad no resulta nada sorprendente

  • Freeswitch tenía un fuerte espíritu comunitario
  • La situación cambió hace algunos años, cuando giró hacia una dirección comercial más agresiva
  • Ahora hay cosas a las que se debe acceder mediante "registro", lo que hace dudar de entregar información personal a una empresa comercial

• Entre actores de amenaza extranjeros, Five Eyes/otros acuerdos occidentales y la exigencia de aumentar ingresos, es razonable asumir que no existe anonimato real en línea

  • No es muy diferente de la era previa a internet
  • Si se quiere proteger información importante, hay que cifrarla de una forma que sea difícil de acceder electrónicamente

• Un área donde Freeswitch suele usarse sin contrato de soporte son las instalaciones de BigBlueButton en escuelas y universidades

  • Eso preocupa más que las operadoras

• No está completamente convencido de la afirmación de que "la seguridad en telecomunicaciones es pésima hoy en día"

  • Elegir Freeswitch al azar y encontrar un desbordamiento de búfer es una evidencia débil
  • Se afirma que el ataque Salt Typhoon explotó una vulnerabilidad de Cisco, pero analistas sugieren que los atacantes usaron credenciales legítimas

• Se pregunta cuánta gente usa el módulo XML RPC

  • No se carga por defecto
  • Según Shodan, 468 lo están usando

• Con la inyección de CAMEL MAP ocurren hackeos realmente buenos

  • Controla varias funciones, como SMS, USSD y servicios de ubicación
  • Los proveedores de "SMS masivo" en una rica isla del Caribe y en Indonesia hacen más que solo enviar spam

• Las grandes operadoras no ejecutan FreeSwitch ni Asterisk en el core

• Recomienda encarecidamente revisar las presentaciones de P1 Security sobre seguridad en comunicaciones móviles

  • Son materiales antiguos, pero no hay razón para creer que haya mejorado
  • Las vulnerabilidades de seguridad del software son solo una parte del problema; las operadoras subcontratan el control y el acceso crítico al postor más barato